E-mail pogrešnom primaocu: kada nastaje povreda podataka?

E-mail poslat pogrešnom primaocu može biti povreda ličnih podataka čak i kada je zahvaćena samo jedna poruka. Važno je koji su podaci otkriveni, ko ih je primio i da li se rizik može ograničiti brzim mjerama. Član 4 stav 12 GDPR-a obuhvata i slučajno otkrivanje podataka. Zato organizacija ne treba da počne od opšteg pravila o „72 sata“, već od obezbjeđivanja činjenica, procjene i dokumentovanja događaja.

Ovaj članak objašnjava praktične korake nakon slanja e-maila pogrešnom primaocu u Austriji. Razlikujemo povredu koju treba dokumentovati od povrede koju treba prijaviti, objašnjavamo faktore rizika i obrađujemo obavještavanje ispitanika prema članu 34 GDPR-a.

Član 4 stav 12 GDPR-a definiše povredu ličnih podataka kao povredu bezbjednosti koja dovodi do slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlašćenog otkrivanja ili pristupa ličnim podacima. Nije potrebna namjera. E-mail sa imenima, kontaktima, ugovornim dokumentima, zdravstvenim podacima ili internim bilješkama zato može biti povreda povjerljivosti samo zato što je poslat na pogrešnu adresu.

Da li treba obavijestiti nadzorno tijelo ne zavisi samo od tehničke greške. Ključno je da li povreda vjerovatno predstavlja rizik za prava i slobode fizičkih lica. Slučajno otkrivanje ostaje događaj koji treba dokumentovati čak i kada primalac obriše poruku nakon zahtjeva.

Najprije obezbijedite činjenice. Zabilježite vrijeme slanja, vrijeme otkrivanja, upotrijebljenu adresu, sadržaj poruke i priloge. Provjerite da li je e-mail otvoren, preuzet ili proslijeđen drugim primaocima. Tehnički opoziv može pomoći, ali ne zamjenjuje procjenu rizika.

Pogrešnog primaoca treba na kontrolisan način zamoliti da poruku i priloge ne koristi, ne prosljeđuje i izbriše. Zatražite jasnu potvrdu. Kod nepoznatog primaoca povrat i čuvanje dokaza su teži. Zato odgovornost za procjenu mora biti jasno određena bez odlaganja. Prva provjera povrede podataka pomaže u sređivanju početnih pitanja.

U procjeni rizika važan je spoj više okolnosti. Provjerite koliko su podaci osjetljivi, koliko je lica i zapisa pogođeno, da li su uključena djeca ili ranjiva lica i da li bi podaci mogli biti iskorišteni za krađu identiteta, ucjenu, diskriminaciju ili drugu štetu. Važno je i koliko dugo je moguć pristup podacima.

Primalac je poseban faktor rizika. Poznati izvršitelj obrade ili druga ugovorno vezana organizacija možda može pouzdano izbrisati podatke i neće ih dalje koristiti. Nepoznati primalac, privatno sanduče ili osoba koja ima sopstveni interes za podatke moraju se drugačije procijeniti. EDPB navodi slanje u pogrešno odjeljenje ili pouzdanom pružaocu usluga kao situaciju u kojoj odnos povjerenja može smanjiti rizik. To ipak ne uklanja obavezu dokumentovanja povrede.

Član 33 GDPR-a zahtijeva prijavu nadležnom nadzornom tijelu kada je vjerovatno da će povreda predstavljati rizik za prava i slobode fizičkih lica. Prijava se podnosi bez nepotrebnog odlaganja i, kada je izvodljivo, u roku od 72 sata od saznanja. U Austriji tijelo za zaštitu podataka ima elektronski obrazac. Ako sve informacije nisu odmah dostupne, član 33 stav 4 GDPR-a dopušta dopunu prijave u fazama kada je to potrebno.

Prijava treba da sadrži vrstu povrede, kada je moguće kategorije i približan broj pogođenih lica i zapisa, kontakt osobu, vjerovatne posljedice i preduzete ili predložene mjere. Ako procjena pokaže da rizik vjerovatno ne postoji, prijava tijelu nije potrebna. Tu odluku treba zabilježiti zajedno sa činjenicama i obrazloženjem. Pregled povreda podataka i obaveza prijave objašnjava širi okvir.

Član 34 GDPR-a postavlja viši prag. Ispitanici se moraju obavijestiti bez nepotrebnog odlaganja ako je vjerovatno da će povreda prouzrokovati visok rizik za njihova prava i slobode. Zato obavještavanje nije automatski potrebno nakon svakog pogrešnog slanja. E-mail jednoj pouzdanoj organizaciji uz brzo brisanje možda ne dostiže prag visokog rizika. Zdravstveni podaci, pristupne šifre, veliki broj primalaca ili nepoznati primalac mogu voditi drugačijem zaključku.

Obavijest treba jasnim jezikom objasniti vrstu povrede i navesti vjerovatne posljedice te već preduzete ili planirane mjere. Ne treba je prikriti opštom porukom ili redovnim biltenom. Provjerite i da li se primjenjuje izuzetak iz člana 34 stav 3 GDPR-a, na primjer kada efikasne tehničke mjere poput šifrovanja uklone visoki rizik.

Član 33 stav 5 GDPR-a zahtijeva dokumentovanje svake povrede ličnih podataka. Zapis treba da obuhvati činjenice, posljedice i mjere za otklanjanje kako bi tijelo moglo provjeriti usklađenost. Treba zabilježiti i obrazloženu odluku da se ne prijavi povreda ili da se ne obavijeste ispitanici. Kratka bilješka bez procjene rizika često nije dovoljna kada je događaj sporan.

Budući događaji se mogu smanjiti tehničkim i organizacionim mjerama: odvojena polja za primaoce i kopije, upozorenja za spoljne adrese, druga provjera osjetljivih priloga, šifrovanje i jasna pravila za opoziv i brisanje. Kontrolna lista za dokumentovanje povrede pomaže kod prvog zapisa. Organizacijski okvir objašnjava i stranica o upravljanju privatnošću i usklađenosti.

Ako je e-mail poslao izvršitelj obrade ili je on prvi otkrio događaj, mora bez nepotrebnog odlaganja obavijestiti rukovaoca. Rukovalac u pravilu odlučuje da li je potrebna prijava prema članu 33 GDPR-a i obavještavanje prema članu 34 GDPR-a. Unutrašnja podjela odgovornosti ne smije odložiti procjenu.

Greška jedne zaposlene osobe ne rješava se time što je ta osoba obavezana na povjerljivost. Organizacija mora procijeniti da li su lični podaci dospjeli do neovlašćenog primaoca i da li su tehničke i organizacijske mjere bile odgovarajuće. Činjenična obrada događaja korisnija je od brze podjele krivice.